AI Agent thu thập bằng chứng kiểm toán nội bộ như thế nào?

Mỗi đợt kiểm toán nội bộ bắt đầu bằng một danh sách yêu cầu dài: sổ chi tiết công nợ phải trả quý này, mẫu hai mươi phiếu chi kèm chứng từ, danh sách người dùng có quyền duyệt thanh toán, biên bản đối chiếu tồn kho cuối kỳ. Các bộ phận được yêu cầu cung cấp thường mất nhiều ngày để xuất dữ liệu, chụp màn hình, tìm chứng từ giấy và gửi qua email thành từng đợt. Kiểm toán viên lại mất thêm thời gian để kiểm tra dữ liệu có đúng kỳ không, có đủ không, và lấy từ đâu.

AI Agent có thể đảm nhận phần thu thập này: đọc danh sách yêu cầu, lấy dữ liệu từ hệ thống nguồn với quyền chỉ đọc, kiểm tra đúng kỳ và đầy đủ, ghi lại nguồn gốc của từng tệp, gắn ngoại lệ, rồi đóng gói hồ sơ để kiểm toán viên xem xét. Việc đánh giá bằng chứng có đủ và thích hợp hay không, và kết luận kiểm toán, vẫn là của kiểm toán viên. Bài viết trình bày cách thiết kế để bằng chứng do agent thu thập đáng tin và truy vết được.

1. Bằng chứng kiểm toán do AI thu thập khác gì nhật ký của AI

Cần phân biệt ngay hai khái niệm dễ nhầm. Nhật ký của AI Agent ghi lại chính agent đã làm gì: nhận yêu cầu nào, gọi công cụ nào, trả kết quả gì; nội dung đó có ở bài nhật ký AI Agent. Bằng chứng kiểm toán là dữ liệu và tài liệu của các quy trình nghiệp vụ được kiểm toán: giao dịch trong ERP, chứng từ, danh sách phân quyền, biên bản. Agent trong bài này thu thập loại thứ hai, và dùng nhật ký của chính nó để chứng minh cách thu thập, như một phần của truy vết.

Ba mức việc được tách rõ. Hỏi đáp là giải thích cho bộ phận được kiểm toán yêu cầu nghĩa là gì và cần chuẩn bị gì. Tra cứu là đọc dữ liệu từ ERP, hệ thống nhân sự, hệ thống quản lý chứng từ, kho tài liệu, luôn với tài khoản chỉ đọc. Ghi chỉ giới hạn trong không gian làm việc của kiểm toán: tạo thư mục hồ sơ, lưu tệp bằng chứng, cập nhật trạng thái từng yêu cầu. Agent không bao giờ sửa dữ liệu ở hệ thống nguồn, kể cả khi phát hiện sai sót.

2. Các yếu tố cần thiết kế

1. Danh sách kiểm tra

Mọi thứ bắt đầu từ danh sách yêu cầu của kiểm toán viên. Mỗi dòng cần được chuyển thành đặc tả có cấu trúc: loại bằng chứng, hệ thống nguồn, đơn vị hoặc bộ phận, kỳ, tiêu chí lọc, định dạng, cách chọn mẫu nếu có. Yêu cầu viết bằng lời như “các khoản chi lớn bất thường trong quý” phải được kiểm toán viên cụ thể hóa ngưỡng trước khi agent thực hiện. Agent có thể đề xuất cách hiểu, nhưng kiểm toán viên xác nhận đặc tả trước khi chạy, vì cách hiểu sai ở bước này làm hỏng cả hồ sơ.

2. Nguồn hệ thống

Mỗi loại bằng chứng có nguồn có thẩm quyền: sổ cái trong ERP, danh sách nhân viên trong hệ thống nhân sự, hợp đồng trong kho hợp đồng đã ký. Nếu cùng một dữ liệu có ở nhiều nơi, như bảng tính do kế toán tự tổng hợp và báo cáo xuất từ ERP, agent phải lấy từ nguồn gốc chứ không lấy bản sao. Danh mục nguồn được kiểm toán nội bộ và chủ sở hữu từng hệ thống cùng xác nhận, kèm tên báo cáo hoặc truy vấn chuẩn dùng để xuất.

3. Quyền đọc

Agent dùng tài khoản dịch vụ riêng với quyền chỉ đọc, không dùng tài khoản của người dùng nghiệp vụ, và phạm vi quyền giới hạn đúng những hệ thống và phân hệ cần cho đợt kiểm toán. Điều này vừa bảo vệ hệ thống nguồn, vừa tăng độ tin cậy của bằng chứng: không ai có thể nói dữ liệu đã bị chỉnh trong lúc xuất. Dữ liệu nhạy cảm như lương, thông tin cá nhân chỉ được lấy khi yêu cầu kiểm toán cần, và được che bớt nếu không cần tên. Nguyên tắc chung về quyền tối thiểu có ở bài phân quyền AI Agent.

4. Kỳ báo cáo

Bằng chứng sai kỳ là lỗi hay gặp khi xuất tay: lấy dữ liệu đến ngày xuất thay vì đến ngày khóa sổ, lọc theo ngày tạo thay vì ngày hạch toán. Agent phải áp đúng trường ngày theo đặc tả, ghi rõ khoảng thời gian đã lọc, và kiểm tra các giao dịch sát đầu và cuối kỳ. Nếu kỳ đã khóa sổ, nên ghi nhận thời điểm khóa; nếu dữ liệu kỳ đó còn bị điều chỉnh sau khóa sổ, đó là thông tin kiểm toán viên cần biết và được gắn thành ngoại lệ.

5. Tính đầy đủ

Một danh sách giao dịch đẹp chưa chắc đầy đủ. Agent đối chiếu tổng số dòng và tổng giá trị của dữ liệu xuất ra với số tổng của hệ thống nguồn, như số dư tài khoản trên sổ cái hay tổng trên báo cáo chuẩn. Với chuỗi chứng từ đánh số liên tục, agent kiểm tra số bị nhảy hoặc trùng. Với mẫu chọn, agent ghi lại tổng thể, phương pháp chọn và các phần tử được chọn để kiểm toán viên có thể chọn lại nếu cần. Việc đối chiếu giữa các chứng từ mua hàng cụ thể là một chủ đề riêng, xem bài AI đối chiếu ba chiều.

6. Truy vết

Mỗi tệp bằng chứng cần đi kèm thông tin nguồn gốc: hệ thống, báo cáo hoặc truy vấn đã dùng, tham số lọc, tài khoản thực hiện, thời điểm xuất, số dòng và giá trị kiểm soát, và mã băm của tệp để phát hiện nếu tệp bị sửa sau đó. Chứng từ đính kèm như hóa đơn, phiếu chi được liên kết với giao dịch tương ứng qua mã chứng từ. Với tài liệu cần đọc nội dung, agent có thể trích trường chính theo cách của bài AI đọc hóa đơn chứng từ, nhưng bản gốc luôn được lưu kèm để kiểm toán viên đối chiếu.

7. Ngoại lệ

Trong lúc thu thập, agent sẽ gặp những điều bất thường: tổng không khớp, chứng từ thiếu tệp đính kèm, giao dịch được duyệt bởi người không có trong danh sách phân quyền, dữ liệu bị sửa sau khóa sổ. Agent gắn những điểm này thành ngoại lệ có mô tả, dẫn chứng và mức độ theo tiêu chí kiểm toán viên đặt ra. Ngoại lệ là quan sát, không phải phát hiện kiểm toán; agent không đánh giá nguyên nhân hay kết luận có sai phạm. Những kiểm tra đặc thù cho chi phí nhân viên có ở bài AI kiểm tra báo cáo chi phí.

8. Người kiểm toán duyệt

Hồ sơ agent tạo ra là bản nháp cho kiểm toán viên. Với mỗi yêu cầu, kiểm toán viên xem bằng chứng, thông tin nguồn gốc và ngoại lệ, rồi chấp nhận, yêu cầu bổ sung hoặc tự thu thập lại. Trạng thái và người duyệt của từng yêu cầu được ghi lại. Kết luận kiểm toán, đánh giá rủi ro và khuyến nghị hoàn toàn thuộc về đội kiểm toán; agent chỉ giúp họ có nhiều thời gian hơn cho phần đó.

3. Quy trình triển khai thực tế

Bước 1: Chọn một chu trình kiểm toán lặp lại

Chọn một chu trình được kiểm toán định kỳ và có dữ liệu chủ yếu nằm trong hệ thống, như chu trình mua hàng và thanh toán hoặc quản lý quyền truy cập hệ thống. Lấy danh sách yêu cầu của các đợt trước làm mẫu, xác định yêu cầu nào lấy được tự động, yêu cầu nào vẫn cần bộ phận nghiệp vụ cung cấp.

Bước 2: Lập danh mục nguồn, truy vấn chuẩn và tài khoản chỉ đọc

Với từng loại bằng chứng, chủ sở hữu hệ thống và kiểm toán nội bộ thống nhất nguồn, báo cáo hoặc truy vấn chuẩn, trường ngày dùng để lọc và giá trị kiểm soát để đối chiếu đầy đủ. Đội kỹ thuật cấp tài khoản dịch vụ chỉ đọc và kiểm tra rằng tài khoản không ghi được vào đâu.

Bước 3: Định nghĩa tiêu chí ngoại lệ và mẫu hồ sơ

Kiểm toán viên viết tiêu chí gắn ngoại lệ và mức độ, cùng mẫu hồ sơ đầu ra: cách đặt tên tệp, cấu trúc thư mục, bảng tổng hợp yêu cầu và trạng thái. Mẫu thống nhất giúp các đợt sau so sánh được với nhau.

Bước 4: Chạy song song với cách thu thập hiện tại

Ở đợt đầu, bộ phận nghiệp vụ vẫn cung cấp bằng chứng như cũ, agent thu thập song song. Kiểm toán viên so sánh hai bộ: số liệu có khớp không, agent có bỏ sót hay lấy sai kỳ không, ngoại lệ có hợp lý không. Chênh lệch nào cũng phải được giải thích trước khi dùng hồ sơ của agent làm bản chính.

4. Ví dụ giả định

Đội kiểm toán nội bộ của một công ty sản xuất kiểm tra chu trình thanh toán nhà cung cấp trong một quý. Danh sách yêu cầu gồm sổ chi tiết công nợ phải trả, danh sách người có quyền duyệt thanh toán, và mẫu phiếu chi trên một ngưỡng giá trị kèm chứng từ. Agent chuyển từng yêu cầu thành đặc tả, kiểm toán viên xác nhận ngưỡng và phương pháp chọn mẫu.

Agent xuất sổ chi tiết từ ERP theo ngày hạch toán, đối chiếu tổng với số dư tài khoản trên sổ cái, và ghi mã băm tệp. Danh sách phân quyền được lấy từ hệ thống quản trị người dùng tại ngày cuối kỳ. Trong mẫu phiếu chi, agent phát hiện hai phiếu thiếu hóa đơn đính kèm và một phiếu được duyệt bởi tài khoản không có trong danh sách phân quyền tại thời điểm duyệt; cả ba được gắn ngoại lệ kèm dẫn chứng. Kiểm toán viên xem hồ sơ, chấp nhận phần lớn, yêu cầu bộ phận kế toán giải trình ba ngoại lệ. Đây là ví dụ giả định để minh họa quy trình.

5. Rủi ro và giới hạn

• Đặc tả yêu cầu hiểu sai khiến cả bộ bằng chứng lệch mục tiêu kiểm toán
• Lấy từ bản sao hoặc bảng tính trung gian thay vì nguồn có thẩm quyền
• Tài khoản của agent có quyền ghi, làm giảm độ tin cậy của bằng chứng và rủi ro cho hệ thống
• Ngoại lệ bị đọc như kết luận sai phạm trước khi kiểm toán viên xem xét

Không phải bằng chứng nào cũng nằm trong hệ thống. Phỏng vấn, quan sát thực tế, kiểm kê hiện vật và xác nhận từ bên thứ ba vẫn cần con người. Các yêu cầu về chuẩn mực kiểm toán, thời hạn lưu hồ sơ và bảo mật dữ liệu cần được đội kiểm toán và pháp chế đối chiếu với quy định hiện hành và quy chế nội bộ của doanh nghiệp.

6. Phân chia trách nhiệm vận hành

Kiểm toán nội bộ sở hữu danh sách yêu cầu, đặc tả, tiêu chí ngoại lệ, mẫu hồ sơ và mọi kết luận. Chủ sở hữu từng hệ thống nguồn xác nhận báo cáo chuẩn, giá trị kiểm soát và phạm vi quyền đọc. Bộ phận được kiểm toán giải trình ngoại lệ và cung cấp bằng chứng ngoài hệ thống. Đội kỹ thuật quản lý tài khoản dịch vụ, kết nối, lưu trữ hồ sơ và nhật ký của agent.

Hồ sơ kiểm toán cần được lưu và bảo vệ khỏi chỉnh sửa theo quy chế lưu trữ. Khi hệ thống nguồn nâng cấp hoặc đổi cấu trúc báo cáo, truy vấn chuẩn phải được kiểm tra lại trước đợt kiểm toán tiếp theo.

7. Chỉ số nên theo dõi

• Tỷ lệ yêu cầu được agent thu thập mà kiểm toán viên chấp nhận không cần bổ sung
• Số chênh lệch khi đối chiếu tính đầy đủ và nguyên nhân từng chênh lệch
• Thời gian từ khi phát danh sách yêu cầu đến khi hồ sơ sẵn sàng xem xét
• Tỷ lệ ngoại lệ được kiểm toán viên đánh giá là đáng theo dõi

Thời gian thu thập rút ngắn chỉ có ý nghĩa khi chất lượng hồ sơ giữ nguyên hoặc tốt hơn. Những yêu cầu kiểm toán viên liên tục phải bổ sung là tín hiệu đặc tả hoặc truy vấn chuẩn cần sửa. Tỷ lệ ngoại lệ bị bác bỏ cao cho thấy tiêu chí đang quá nhạy.

8. Checklist trước khi vận hành

• Mỗi yêu cầu có đặc tả được kiểm toán viên xác nhận trước khi chạy
• Danh mục nguồn có thẩm quyền và truy vấn chuẩn đã được chủ hệ thống duyệt
• Tài khoản dịch vụ chỉ đọc, đã thử không ghi được vào hệ thống nguồn
• Mỗi tệp bằng chứng kèm nguồn, tham số, thời điểm, giá trị kiểm soát và mã băm
• Tiêu chí ngoại lệ và mức độ đã viết ra, ngoại lệ không hiện như kết luận
• Đợt đầu chạy song song và chênh lệch đã được giải thích

9. Câu hỏi thường gặp

AI Agent có thay được kiểm toán viên nội bộ không? Không. Agent thu thập và sắp xếp bằng chứng từ hệ thống, kiểm tra đúng kỳ và đầy đủ, gắn ngoại lệ. Đánh giá bằng chứng có đủ và thích hợp không, xác định phát hiện và đưa ra kết luận vẫn là việc của kiểm toán viên.

Vì sao agent thu thập bằng chứng chỉ nên có quyền đọc? Quyền chỉ đọc bảo vệ hệ thống nguồn và giúp bằng chứng đáng tin hơn, vì không thể có chuyện dữ liệu bị chỉnh trong lúc thu thập. Nếu phát hiện sai sót, agent gắn ngoại lệ để người có thẩm quyền xử lý.

Làm sao chứng minh bằng chứng do AI lấy là đầy đủ? Bằng cách đối chiếu số dòng và tổng giá trị của dữ liệu xuất ra với giá trị kiểm soát của hệ thống nguồn, kiểm tra chuỗi số chứng từ, và ghi lại truy vấn, tham số, thời điểm cùng mã băm tệp để kiểm toán viên có thể lặp lại.

Nên bắt đầu dùng AI thu thập bằng chứng với chu trình nào? Chu trình được kiểm toán định kỳ và có dữ liệu chủ yếu trong hệ thống là lựa chọn tốt, như mua hàng và thanh toán, hoặc quản lý quyền truy cập. Chu trình dựa nhiều vào quan sát thực tế hay phỏng vấn nên để sau.

Kết luận

AI Agent thu thập bằng chứng kiểm toán nội bộ hữu ích khi làm đúng vai của mình: bám danh sách yêu cầu đã được xác nhận, lấy từ nguồn có thẩm quyền với quyền chỉ đọc, kiểm tra kỳ và tính đầy đủ, ghi truy vết cho từng tệp và gắn ngoại lệ mà không kết luận. Kiểm toán viên nhận được hồ sơ sạch hơn và có thêm thời gian cho phần xét đoán, vốn là giá trị cốt lõi của kiểm toán.

Trao đổi với Naventic để khảo sát quy trình thu thập bằng chứng kiểm toán. Đọc thêm: AI Finance & Accounting Agent.